企航顾问ISO/IEC 42001人工智能管理体系服务介绍

2025/01/31

该标准不仅关注技术层面，更深入到组织战略、风险管理及伦理道德等多个维度，致力于全面提升组织在 AI 时代的竞争力与公信力。通过实施这一标准，组织能够确保以负责任的方式开发和使用 AI 系统，同时满足适用的法律法规、合同义务以及利益相关方的需求和期望。

  ISO/IEC 42001标准产生的背景

2016年，英国标准协会（BSI）首次发布了一份关于人工智能伦理管理的标准BS 8611:2016，这份标准在当时的业界似乎并没有引起太多反响。自2022年11月30日OpenAI通过GPT-3.5系列大型语音模型微调而成的全新对话式AI模型ChatGPT正式发布以来，无论在人工智能专业领域还是在人工智能应用领域掀起了巨大波澜，各国政府都在制定或发布针对人工智能监管的法案以确保人类更好地应用人工智能技术，比如：

• 2023年5月11日，欧盟《人工智能法案》谈判授权草案通过

• 2023年4月13日，中国国家互联网信息办公室《生成式人工智能服务管理办法（征求意见稿）》发布

• 2019年OECD（经济合作与发展组织）提出了关于人工智能管理的原则和建议，这些原则在为各国政府制定人工智能政策提供指导和建议

• 联合国教科文组织（UNESCO）在2019年通过了一份名为《人工智能：伦理与道德》的报告，呼吁各国政府和私营部门在人工智能的开发和使用过程中遵守一系列基本原则和规范

• 世界经济论坛在2020年发布了《人工智能全球议程》报告，提出了人工智能治理的五项核心原则：人类为中心、信任、公平、透明和安全

  人工智能管理体系标准框架

• ISO/IEC 22989:2022信息技术——人工智能——人工智能概念和术语

• ISO/IEC 23894:2023信息技术——人工智能——风险管理指南

• ISO/IEC 5338:2023信息技术——人工智能——AI系统生命周期过程

  ISO/IEC 42001标准的结构

【上图：ISO/IEC 42001:2023标准的结构】

一、标准正文部分

二、附录A：控制目标和控制措施

附录A提供了控制措施的描述，共9大控制域、38个控制项，为组织实现组织目标和解决与Al系统设计和运行相关的风险提供了参考。

1、A.2到A.4主要提供了组织管理的控制，包括：

• AI的方针和策略，AI的伦理规范，以指导促进合乎道德的AI开发和应用

• AI治理结构和职责划分

• AI系统的资源识别和分配

2、A.5到A.9提供了AI系统管理的控制，包括：

• 对AI系统的影响进行评估，如对个人和群体带来的影响包括数据隐私和安全、偏见和歧视、算法黑箱问题、就业危机等；以及对社会的影响包括社会不平等、经济影响、伦理问题、环境和资源问题等

• 指导组织在AI系统生命周期中，针对AI系统的负责任地设计和开发，并对系统进行验证和确认，对AI系统地部署进行管控，对运行进行监视，对日志进行记录，并对AI系统技术文档进行管理

• 管理AI系统生命周期中的用于训练和生成的数据，包括数据的来源控制、数据的获取控制、数据准备控制以及数据的质量控制等

• 为AI相关方提供信息，其目的是提高AI系统的透明度和可解释性

• 确保组织根据组织的方针负责任地使用AI系统，制定相应地使用目标

3、A.10提供了外部第三方关系的控制，包括和第三方职责的界定、对供应商的管理及对客户的期望和需求的管理。

四、附录B：人工智能控制措施的实施指南

附录B对附录A中各项控制措施进行了详细的解释，以帮助组织更好地理解并应用附录A中各项控制措施。

五、附录C：潜在的人工智能组织目标和风险源

附录C描述了与人工智能相关的组织目标及风险源，以帮助组织更好地管理与人工智能相关的风险。

六、附录D：跨领域的人工智能管理体系使用

附录D进一步解释在不同行业如何更好地应用人工智能管理体系标准，并说明组织在应用人工智能管理体系时如何与其他管理体系标准进行整合。

  ISO/IEC 42001的核心要素

一、目标要素

在ISO/IEC 42001标准的附录C中，列举了潜在的AI相关的组织目标，目的是保证AI的开发、部署和使用是负责任的（Responsible），提供的AI系统是值得信任的（Trustworthy）。

1、从AI系统的生产者和提供者的角度，需要满足AI系统是负责任的，包括：

• 问责制

• AI专业知识

• 训练和测试数据的可用性和质量

• 算法的透明度和可解释性

• 系统的可维护性

2、从AI系统的使用者的角度，AI系统是需要被信任的，比如：

• 公平

• 隐私保护

• 系统的鲁棒性

• 功能（物理）安全

• 信息安全

• 对环境的影响

二、基于风险的方法

值得注意的是，和别的管理体系不同的是，基于AI风险特有的性质，在进行风险分析时，组织还需进行AI系统影响评估，包括在AI系统生命周期中评估对个人或群体或对社会的影响，以及对这些影响的后果进行考量，并集成在风险管理中。

三、控制要素

组织应考虑从以下几方面来实施控制

• 组织的AI方针和和策略

• 组织内部治理结构与AI系统职责划分

• 识别和分配AI系统资源

• AI系统影响评估以及对负面影响进行处置

• AI系统生命周期内，负责任设计、开发和部署AI系统

• AI系统的数据管理

• 确保AI系统相关方获得必要的信息，使之能理解AI系统并能够评估风险和影响

• 确保AI系统的负责任使用

• 第三方职责的界定、对供应商的管理及对客户的期望和需求的管理

四、过程要素

AIMS中，结合前面的三个要素，构成了AIMS的建立、实施和改进的过程。如图所示，组织首先需要理解内外部环境和相关方需求，确定组织边界，基于业务过程对组织资产和资源进行识别，根据目标和风险来源，进行风险评估和影响评估，然后根据风险评估结果采取适合于自身情况的附录A控制措施实施控制，通过风险迭代推动AIMS持续改进。

  ISO/IEC 42001标准的适用范围

  ISO/IEC 42001人工智能管理体系建设方案

一、理解与解读标准的挑战及应对策略

• 组建专业学习小组：在企业或团队内部，挑选具有不同专业背景的人员组成学习小组，包括技术专家、法律专家、伦理学者等。这样可以从多维度对标准进行解读，加深理解。例如，技术人员可以从技术实现的角度分析标准的要求，法律专家则可以从合规的角度提供专业意见，共同探讨如何将标准更好地应用到实际项目中

• 参加企航顾问的培训课程和研讨会：积极参加由企航顾问举办的 ISO/IEC 42001 标准培训课程和研讨会。这些活动通常会邀请标准制定的专家或有丰富经验的从业者进行讲解和分享，能够帮助我们快速掌握标准的核心内容和实施要点。同时，与其他从业者进行交流和互动，也可以学习到他们的实践经验和应对策略

• 与标准制定机构保持沟通：如果在标准的理解过程中遇到疑问或困惑，及时与标准制定机构取得联系，寻求官方的解释和指导。标准制定机构具有最权威的解读权，与他们保持沟通可以确保我们对标准的理解准确无误

二、实施成本方面的挑战及应对策略实施

• 合理规划实施步骤：根据企业或项目的实际情况，制定详细的实施计划，合理安排实施步骤。优先实施对业务影响较大、风险较高的部分，逐步推进标准的实施。这样可以避免一次性投入过大，减轻企业的资金压力

• 寻求企航顾问的合作与支持：与企航顾问开展合作，共同实施 ISO/IEC 42001 标准。通过资源共享、技术合作等方式，可以降低实施成本，提高实施效率。借助企航顾问的专业知识和经验，帮助企业制定符合标准的管理体系和技术方案

• 利用现有资源进行优化：对企业现有的技术资源、管理体系进行评估和优化，充分利用现有资源满足 ISO/IEC 42001 标准的要求。例如，对现有的数据管理系统进行升级和改造，加强数据的安全保护和隐私管理；优化现有的项目管理流程，提高项目的透明度和可追溯性

三、流程改造的挑战及应对策略

• 加强沟通与培训：在流程改造之前，与团队成员进行充分的沟通，向他们解释流程改造的必要性和重要性，让他们了解ISO/IEC 42001标准对企业和个人的长远利益。同时，组织相关的培训活动，帮助团队成员掌握新的流程和方法，提高他们的适应能力

• 引入试点项目：选择一些小型的、低风险的项目作为试点，按照ISO/IEC 42001标准的要求进行流程改造和管理。通过试点项目的实践，总结经验教训，不断优化流程和管理体系。同时，也可以让团队成员在实践中逐渐熟悉新的流程，减少对流程改造的抵触情绪

• 建立激励机制：为了鼓励团队成员积极参与流程改造，建立相应的激励机制。对在流程改造过程中表现出色的团队成员给予表彰和奖励，激发他们的积极性和创造性。同时，将流程改造的实施情况纳入绩效考核体系，促使团队成员认真对待流程改造工作

四、持续合规的挑战及应对策略

• 建立监测与评估机制：建立专门的监测与评估机制，定期对企业的人工智能项目进行审查和评估，确保项目的管理体系和技术方案符合 ISO/IEC 42001 标准的要求。同时，关注行业的发展动态和标准的更新情况，及时调整企业的管理策略和技术方案

• 培养内部专业人才：培养企业内部的专业人才，使其具备对 ISO/IEC 42001 标准的深入理解和应用能力。这些专业人才可以负责企业的标准实施和合规管理工作，及时发现和解决问题，确保企业的人工智能项目始终处于合规状态

• 参与行业交流与合作：积极参与行业组织的交流与合作活动，与其他企业和专家分享经验和见解，共同探讨标准的实施和发展趋势。通过参与行业交流与合作，可以及时了解行业的最新动态和最佳实践，为企业的标准实施和合规管理提供参考

ISO 42001 标准的实施对于人工智能行业的健康发展具有重要意义，但同时也给人工智能行业从业者带来了一系列的挑战。面对这些挑战，我们需要积极应对，采取有效的策略和措施，不断提升企业的管理水平和技术能力，确保人工智能的开发和应用符合标准的要求，为人工智能行业的可持续发展做出贡献。

  关于企航顾问

企航顾问 是从事可持续发展、智能制造、精益六西格玛、管理体系的咨询和培训的管理顾问机构，是面向广大企事业单位传递无文化障碍的先进管理理念与技术、提供国际化与本土化完美结合的管理咨询和培训的专业服务机构。

企航顾问 从1999年3月23日成立至今，为6,000多家不同类型的企业提供过管理咨询服务和为10,000多家企业的数百万人次提供过管理培训服务，这其中包括了50%以上的国内五百强企业、420家世界五百强在华企业和1,100多家国内上市企业。 

企航顾问 同时也是全国六西格玛推进工作委员会（CCPSS）委员单位、国家认证认可监督管理委员会（CNCA）首批备案批准且批准范围最宽的管理顾问公司（备案批准号：CNCA-Z-02Q-2002-045）、中国认证认可协会（CCAA）理事单位和上海市认证协会（SCA）理事单位。